open-cors-anti-pattern

Misconfigured CORS policies allow any website to make authenticated requests on behalf of users. Servers responding with Access-Control-Allow-Origin: or reflecting client Origin headers enable data theft and unauthorized actions.

The anti-pattern is overly permissive Access-Control-Allow-Origin headers: wildcard () or reflecting client Origin values.

curl -H "Origin: https://evil.com" -I https://yourapp.com/api/some-endpoint Check if the response contains Access-Control-Allow-Origin: https://evil.com.

オープンなクロスオリジン リソース共有 (CORS) ポリシーのセキュリティ アンチパターン (CWE-942)。サーバー構成、API バックエンド、または CORS ヘッダーを設定するコードを生成またはレビューするときに使用します。ワイルドカード、ヌルオリジン、リフレクトオリジンなど、過度に寛容な Access-Control-Allow-Origin ヘッダーを検出します。 ソース: igbuend/grimbard。